fix(cluster): strict SIP isolation on standby node and progressive BLF wake on master to eliminate stuck BLF lights

scripts/cluster/notify_backup.sh

@@ -29,5 +29,16 @@ if pidof asterisk >/dev/null 2>&1; then
     /usr/sbin/asterisk -rx "dialplan reload" >> "$LOG_FILE" 2>&1 || true
 fi
 
-echo "[$TIMESTAMP] [CLUSTER] Mode Standby actif. En écoute des battements de cœur VRRP." >> "$LOG_FILE"
+# 3. Isolation SIP stricte du nœud Standby / Backup via iptables (Architecture Télécom HA)
+# Un nœud en veille ne doit JAMAIS répondre aux requêtes SIP des téléphones.
+# Tout paquet SIP arrivant sur le Slave est immédiatement rejeté (ICMP port unreachable),
+# ce qui force les téléphones (Yealink T46S, T54W, Fanvil, Snom...) à clore immédiatement
+# leurs anciens dialogues orphelins et à réémettre leurs SUBSCRIBE BLF et REGISTER vers la VIP active.
+iptables -C INPUT -i lo -j ACCEPT 2>/dev/null || iptables -I INPUT -i lo -j ACCEPT
+iptables -C INPUT -p udp -m multiport --dports 5060,5061 -j REJECT --reject-with icmp-port-unreachable 2>/dev/null || \
+    iptables -A INPUT -p udp -m multiport --dports 5060,5061 -j REJECT --reject-with icmp-port-unreachable
+iptables -C INPUT -p tcp -m multiport --dports 5060,5061 -j REJECT --reject-with tcp-reset 2>/dev/null || \
+    iptables -A INPUT -p tcp -m multiport --dports 5060,5061 -j REJECT --reject-with tcp-reset
+
+echo "[$TIMESTAMP] [CLUSTER] Mode Standby actif (Ports SIP isolés). En écoute des battements de cœur VRRP." >> "$LOG_FILE"
 exit 0